Aislamiento de servidores y cortafuegos de gestión

Abre politica_cortafuegos_c2.txt en la consola del laboratorio con el entorno rt-c2-arquitectura-guia.

Revisa la Regla 1. La interfaz de gestión donde los operadores se conectan para lanzar comandos no debe ser accesible desde ninguna dirección IP pública. El acceso se limita de forma estricta a la subred de la VPN privada del equipo mediante reglas a nivel de cortafuegos de kernel.

Examina la Regla 2 en politica_cortafuegos_c2.txt.

El servidor de mando jamás debe recibir conexiones directas desde los equipos comprometidos de la víctima. Todo el tráfico entrante al puerto seguro del backend debe provenir única y exclusivamente de las direcciones IP públicas conocidas de los proxies redirigidores intermedios.

Cuando un analista de seguridad sospecha que una IP de la nube podría ser un servidor C2 y lanza un sondeo con Nmap, una respuesta de tipo TCP RST o ICMP Unreachable confirma que la máquina existe y que un cortafuegos activo está bloqueando el puerto.

Al configurar una política por defecto de tipo DROP silencioso, los paquetes no autorizados se descartan sin emitir respuesta alguna, provocando que los escáneres defensivos reciban un tiempo de espera agotado (timeout) y no puedan determinar si la IP está encendida.